Et væddemål på 250 millioner dollar om at test ikke er en begivenhed

Snehal Antani, som grundlagde Horizon3 i 2019 sammen med Anthony Pillitiere efter at begge havde arbejdet i Joint Special Operations Command, beskrev milepælen som en fortjent tilladelse snarere end som teknologi. Selskabet opfandt begrebet hackere drevet af kunstig intelligens, sagde han, og brugte seks år på at gøre sig fortjent til retten til selvstændigt at teste de mest kritiske net. Den 3. august offentliggjorde selskabet en serie E på 250 millioner dollar til en værdiansættelse over 2 milliarder dollar, ledet i fællesskab af de hidtidige investorer NightDragon og NEA, med Acrew, Blue Cloud Ventures, EDBI, Demeter Group, PSG, SAIC og Sapphire som nye deltagere ved siden af eksisterende bagmænd som Craft Ventures, Prosperity7 Ventures, Qualcomm Ventures, Ridge Ventures og SignalFire.

Tallene bag runden beskriver en kategori, der prissættes på ny, og ikke blot et selskab der klarer sig godt. Horizon3 oplyser en tilbagevendende årsomsætning tæt på 100 millioner dollar med en vækst på 120 procent år for år, mere end 7.000 beskyttede organisationer, fire kunder blandt Fortune 10 og 310.000 test udført inde i kørende produktionsmiljøer. Dave DeWalt, der grundlagde NightDragon og tidligere ledede FireEye og McAfee, indtræder i bestyrelsen sammen med NightDragons administrerende direktør Morgan Kyauk. Selskabet åbnede et kontor i Amsterdam i juni og udvider til Australien og Singapore.

Hvad EU-retten faktisk kræver, og hvor ofte

Forordningen om digital operationel modstandsdygtighed fastsætter kadencen netop for de enheder, der er mest tilbøjelige til at købe dette produkt. Artikel 26 og 27 kræver, at udpegede finansielle enheder gennemfører avanceret modstandstest ved hjælp af trusselsbaseret penetrationstest mindst hvert tredje år. Kun enheder, der anses for betydelige og har tilstrækkeligt modne systemer, er omfattet, og standarderne blev udviklet i overensstemmelse med TIBER-EU-rammen, som blev opdateret den 11. februar 2025 for at svare til de tekniske reguleringsstandarder vedtaget under DORA.

To detaljer bør ligge fast før enhver budgetsamtale. For det første er finansielle enheder omfattet af DORA og ikke af NIS2, fordi artikel 4 i NIS2 viger for det mere specifikke regime, og virksomheder planlægger jævnligt efter den forkerte tekst. For det andet er kadencen et gulv og ikke et mål. DORA har fundet anvendelse siden januar 2025, så en treårig cyklus placerer den første fulde trusselsbaserede test omkring januar 2028 for enheder omfattet fra begyndelsen, altså cirka atten måneder fra nu. Storbritannien driver sin egen trusselsbaserede ordning for store institutter efter en sammenlignelig tankegang.

Dokumentet og foranstaltningen glider fra hinanden

Her ligger den spænding, runden blotlægger. En trusselsbaseret penetrationstest styres af efterretninger, gennemføres af dygtige mennesker mod et afgrænset mål og frembringer et dokument, som tilfredsstiller en tilsynsmyndighed. Løbende automatiseret test frembringer noget andet: en rullende måling af udnyttelig eksponering. Matt Hartley, kommerciel direktør i Horizon3, hævder, at en konventionel opgave kun undersøger to eller tre procent af et net én gang om året, mens en autonom platform kan dække hele beholdningen løbende uden at tage produktionen ned. Det er en leverandørs fremstilling af sin egen fordel og bør læses sådan, men den underliggende iagttagelse om stikprøver er ikke omstridt blandt dem, der bestiller disse test.

Den ærlige modvægt er, at automatisering ikke erstatter det, der gør en trusselsbaseret test værdifuld. Sådanne test bygger på efterretninger om, hvem der troværdigt ville angribe netop dette institut og hvordan, og et godt angrebshold opfinder veje, ingen scanner opremser. De to ting er ikke substitutter, og den, der afskaffer sit menneskelige hold, fordi han har købt en autonom platform, har misforstået begge. Det, der reelt ændrer sig, er betydningen af det treårige bevis. At bestå i 2028 siger, at beholdningen holdt til et afgrænset, efterretningsstyret angreb på bestemte datoer. Det siger intet om de tusind dage på hver side, og markedet har netop sat 250 millioner dollar bag den opfattelse, at eksponeringen bor netop dér.

Hvad der bør ændres i næste testcyklus

Begynd med at skrive ned, hvilket regime der binder jer, og hvornår jeres næste trusselsbaserede test forfalder. Det lyder elementært, og det er det trin, der oftest springes over, fordi ansvaret for svaret som regel ligger mellem en compliance-funktion, der kender fristen, og en sikkerhedsfunktion, der kender beholdningen. Er jeres institut omfattet, og har DORA gjaldt for jer fra januar 2025, så regn baglæns fra begyndelsen af 2028 og husk, at afgrænsning og efterretningsarbejde begynder mange måneder før selve testen.

Behandl derefter de to aktiviteter som adskilte poster med adskilte formål. Den regulerede test er en leverance med en dato, et omfang aftalt med tilsynet og en efterretningsfase, og den bør budgetteres som et projekt. Løbende test er en driftsforanstaltning, og spørgsmålet til en leverandør er ikke, hvor mange fund den frembringer, men hvor hurtigt et nyligt eksponeret aktiv dukker op i resultaterne, og hvordan den opfører sig over for kørende produktion. Bed også om fejlhistorikken og ikke blot antallet af test uden afbrydelser. En platform, der har udført hundredtusinder af produktionstest, har en sikkerhedshistorie, der fortjener nøje gennemgang, før den rører jeres bankkerne.

Læs videre: 45.601 huller, 171 bliver faktisk brugt  |  En enkelt besked nåede SSH-nøglerne